GeoCities وأول قضية خصوصية على الإنترنت لدى FTC

الخلاصة

قالت FTC في شكوى عام 1998 إن بيانات أعضاء GeoCities استُخدمت وأُفصح عنها على نطاق أوسع مما أوحت به بيانات الخصوصية.
حوّل أمر الموافقة النهائي لعام 1999 هذا الخلاف إلى واجبات تشغيلية: بيان من يجمع المعلومات ومن يتلقاها، والحصول على موافقة الوالدين، وإتاحة الوصول والحذف، ومطالبة الأطراف الثالثة بإزالة نسخها.

لم يكن الاسم الظاهر هو حامل السجل دائمًا

كان الطفل الذي يريد الانضمام إلى GeoKidz Club يحتاج أولًا إلى عضوية GeoCities، ثم يملأ طلبًا بالاسم والعمر والبريد الإلكتروني وعنوان صفحته الشخصية والجنس. ظهر النادي في Enchanted Forest، وهي مساحة مخصصة للأطفال. ووفق شكوى FTC، كان قادة المجتمع التطوعيون يديرون النادي والمسابقات، وهم من جمعوا المعلومات واحتفظوا بها.

هذه هي المفارقة التي غابت عن واجهة الموقع. يرى المستخدم حيًا إلكترونيًا واحدًا، لكن البيانات قد تمر إلى منظمين آخرين. من يقدم الاستضافة والجمهور والاسم يملك قدرة على ضبط المسار؛ أما الطفل فلا يرى في النموذج من سيتولى حفظ الإجابة بعد إرسالها.

وصفت الشكوى المسجلة في أغسطس 1998 GeoCities بأنه مجتمع يضم أكثر من 1.8 مليون عضو في 40 حيًا موضوعيًا. وقدّرت أن نحو 50 ألف عضو كانوا دون الثالثة عشرة في 18 مايو 1998. طلب نموذج العضوية بيانات إلزامية، وصنف التعليم والدخل والحالة الزوجية والمهنة والاهتمامات ضمن الحقول الاختيارية. وكانت عروض المعلنين الخاصة محددة مسبقًا على الاستلام، ما لم يغير العضو هذا الاختيار.

لم تكن الإعلانات عنصرًا خفيًا عن الخدمة. قالت الشكوى إن GeoCities باعت مساحات إعلانية واستخدمت اهتمامات الأعضاء وأحياءهم لتوجيه الترويج. ما طعنَت فيه FTC هو حدود الوعد المصاحب للبيانات. زعمت أن بيانات الخصوصية حصرت الاستخدام في العروض والمنتجات التي طلبها الأعضاء، ووعدت بألا تُشارك الحقول الاختيارية دون إذن. ثم زعمت الشكوى أن الشركة باعت المعلومات أو أجرتها أو كشفتها لأطراف ثالثة لأغراض أخرى، منها إرسال إعلانات غير مطلوبة بحسب الحي الذي اختاره العضو.

وأثارت أنشطة الأطفال سؤالًا ثانيًا: من يتولى الجمع؟ قالت FTC إن صفحات Enchanted Forest عرضت النادي والمسابقات كأنهما نشاطان تديرهما GeoCities، بينما كان قادة المجتمع يجمعون المعلومات ويحفظونها. الاسم الذي يدعو الطفل إلى المشاركة لم يكن بالضرورة الطرف الذي استلم بياناته.

اتفاق مفتوح للتعليق العام

في 13 أغسطس 1998 أعلنت FTC اتفاق تسوية مقترحًا وفتحت 60 يومًا للتعليقات. أقرت GeoCities بوقائع الاختصاص القضائي وقبلت مسار التسوية. ونص الاتفاق على أن القبول لا يمثل إقرارًا بالانتهاكات القانونية المزعومة أو بصحة بقية الوقائع الواردة في الشكوى. صدر الأمر النهائي من موافقة تفاوضية، لا من محاكمة حسمت الوقائع.

أصدرت اللجنة قرارها وأمرها في 5 فبراير 1999. وفي 12 فبراير أعلنت FTC اعتماد الأمر بعد فترة التعليق، وصوّت المفوضون عليه بأربعة أصوات مقابل لا شيء. وأضاف النص النهائي السماح بجمع بيانات الأطفال أو استخدامها بالقدر الذي يجيزه قانون حماية خصوصية الأطفال على الإنترنت الصادر عام 1998.

وضع الأمر إشعار الخصوصية حيث يبدأ جمع البيانات: على الصفحة الرئيسية وفي مواضع إدخال المعلومات. كان يجب أن يذكر الإشعار ما يُجمع، ولماذا، ومن سيتلقاه، وكيف يمكن للعضو الاطلاع على بياناته، وكيف يطلب إزالتها، وما القيود التي تبقى على الحذف. وهكذا ارتبط الإشعار بالنموذج نفسه بدل أن يبقى رابطًا بعيدًا عن لحظة التسجيل.

بالنسبة إلى الأطفال في سن 12 عامًا أو أقل، وجب على GeoCities إنشاء إجراء لموافقة الوالدين الصريحة قبل جمع المعلومات الشخصية واستخدامها. كان مسموحًا بخطوة تحقق محدودة لتحديد الطفل وإبلاغ ولي أمره. وإذا لم تصل الموافقة خلال 20 يومًا، تعين حذف المعلومات، عدا أقل قدر يلزم لمنع تسجيل جديد بلا إذن.

أما البيانات التي جُمعت سابقًا، فكان لها مسار منفصل. طلب الأمر إخطار المستهلكين الذين تجاوزوا 12 عامًا ممن أُفصح عن بياناتهم إلى CMG Information Services، وإخطار أولياء أمور الأطفال الذين جُمعت بياناتهم قبل 20 مايو 1998. إذا لم يقدم الوالد موافقة صريحة على استمرار الاحتفاظ والإفصاح خلال 20 يومًا، وجب على GeoCities وقف الاستخدام والحذف خلال عشرة أيام. وشمل ذلك الصفحة الشخصية للطفل وحساب بريده الإلكتروني. كما كان على الشركة الاتصال بمن تلقوا المعلومات وطلب وقف الإفصاح وحذف نسخهم.

بهذا امتد الأمر إلى ما وراء خوادم GeoCities. كان على الشركة الحصول على تعهدات مكتوبة من الأطراف الثالثة وقادة المجتمع. وبموجب الشروط المحددة، عليها وقف التعامل مع طرف ثالث لا يمتثل أو إنهاء صفة قائد المجتمع. لم يعد بوسع الموقع أن يشير إلى المتطوع الذي أدار النادي باعتباره مشكلة تخص شخصًا آخر.

تحدد سجلات FTC ما كان على GeoCities أن تطلبه، لكنها لا تتتبع ما إذا كان كل مستلم قد حذف نسخته لاحقًا؛ وسجلات امتثال المستلمين هي ما يمكن أن يحسم ذلك.

لكن الحذف لم يكن يعني اختفاء كل نسخة في اللحظة نفسها. سمح الأمر ببقاء بعض المعلومات في نسخ احتياطية خارج الموقع لأغراض صيانة النظام أو حفظ الملفات أو منع تسجيل طفل بلا موافقة أو الاستجابة لإجراء قانوني. وجب الإفصاح عن سياسة الاحتفاظ، وحُظر كشف النسخ المؤرشفة إلا استجابة لطلب من جهات إنفاذ القانون أو القضاء. كان على الموقع أن يشرح طريق الحذف وما لا يشمله فورًا.

وعد الموقع صار سلسلة قابلة للفحص

وصفت FTC القضية بأنها أول قضية خصوصية على الإنترنت. ما جعلها مهمة هو تحويل الوعد إلى سلسلة أسئلة: ما الذي جُمع؟ لأي غرض؟ من استلمه؟ كيف يراه صاحبه؟ وأين يمكن طلب إزالة النسخة؟ لم يعد كافيًا أن تصف الصفحة نفسها بأنها مجتمع آمن.

وقد رسم المفوض Orson Swindle نطاقًا واضحًا لهذا العلاج. أيد الأمر النهائي في هذه القضية وقال إن تصويته لا يعني تأييده لفرض المتطلبات نفسها على جميع المواقع التجارية عبر تشريع أو تنظيم. اللجنة ألزمت GeoCities بتسوية محددة، وبقي النقاش حول قاعدة عامة للإنترنت مفتوحًا.

مع ذلك، ظلت GeoCities مسؤولة عن الخدمة التي عرفها الأعضاء باسمها. الحي الإلكتروني كان المدخل؛ أما الأمر فتتبع السجل إلى من جمعه ومن تلقاه. من يجمع الجمهور ويستضيف النشاط ويقدم علامته هو الطرف الأقدر على معرفة أين ذهبت البيانات وطلب إعادتها أو حذفها.